Formål og udbytte
Kurset giver en fokuseret indføring i NIS2-kravene til governance og sikkerhed samt i den danske implementering i lov om foranstaltninger til sikring af et højt cybersikkerhedsniveau. Deltagerne lærer at identificere, hvem der er omfattet, og hvilke pligter der følger, herunder risikostyring, politikker, organisatorisk forankring, leverandørkontroller, hændelsesrapportering, dokumentation og efterlevelse.
Undervisningen er risikobaseret, så tiltag svarer til trusselsbilledet og de formelle krav. Der arbejdes med at kortlægge overlap og forskelle mellem NIS2, persondatareglerne og relevante ISO-standarder, så dobbeltarbejde undgås, og kontroller etableres, hvor de giver størst effekt.
Regulering og krav
Kurset gennemgår NIS2’s centrale begreber og den danske retsramme, herunder klassificeringen i essentielle og vigtige enheder, krav til ledelsens ansvar og governance, proportionalitet i sikkerhedsforanstaltninger og mulige sanktioner ved manglende compliance. Der sættes fokus på praktiske implikationer for sektorer og forsyningskæder samt dokumentationskrav over for tilsyn.
Du får en operationel oversigt over de foranstaltninger, der typisk forventes: styringsramme og politikker, klare roller og ansvar, risikovurdering, adgangsstyring, logning og overvågning, sårbarhedsstyring og patching, kryptering og nøglehåndtering, backup og gendannelse, beredskab og kontinuitet, hændelsesrespons samt tredjeparts- og leverandørstyring inklusive kontraktuelle krav.
Praksis og implementering
Kurset viser, hvordan governance opbygges og forankres: politik- og standardhierarki, kontrolbibliotek, RACI for nøgleprocesser, risikokomité og ledelsesrapportering samt KPI’er og kontroltest, der måler modenhed og effektivitet. Deltagerne får skabeloner og metoder, der kan anvendes i egen organisation.
Der gennemgås en trinvis risikovurdering: identifikation af aktiver og processer, trussels- og sårbarhedsanalyse, vurdering af sandsynlighed og konsekvens, fastlæggelse af risikovillighed samt valg af tekniske og organisatoriske kontroller. Dokumentationskrav og sporbarhed behandles, så proportionalitet kan demonstreres over for tilsyn.
Sammenhængen til databeskyttelsesreglerne behandles særskilt, herunder samspil mellem NIS2’s sikkerhedskrav og GDPR’s krav om passende sikkerhed, databehandleraftaler og behovet for konsekvensanalyser i relevante behandlingsaktiviteter. Kurset illustrerer, hvordan fælles kontroller kan understøtte både NIS2, GDPR og ISO-krav.
Leverandørstyring adresseres med fokus på risikobaserede krav, due diligence, sikkerhedsbilag, tilsyn og opfølgning. Der arbejdes med håndtering af hele værdikæden, så svage led identificeres, og forpligtelser indarbejdes i aftaler og praksis uden overimplementering.
Afslutningsvis gennemføres en øvelse, hvor en konkret cyberhændelse behandles fra første signal til normalisering. Øvelsen belyser triagering, eskalering, kommunikation, dokumentation, ledelsesbeslutninger samt aktivering af kontroller i hændelsesrespons, forretningskontinuitet og relevant rapportering.
